ANEXA 2
ANEXA 2
Model de Acord de confidențialitate pe care să îl utilizați în relație cu colaboratorii persoane împuternicite
ANEXA
la Contractul nr. din
1) Prevederi generale:
Părțile prelucrează date cu caracter personal în scopul:
încheierii și executării Contractului, conform art. 6 alin. (1) lit. b) din RGPD;
îndeplinirii obligațiilor legale ce le revin, conform art. 6 alin. (1) lit. c) din RGPD;
îndeplinirii îndeplinirea unei sarcini care servește unui interes public conform art. 6 alin. (1) lit. e) din RGPD;
Prelucrarea datelor cu caracter personal se face prin mijloacele și conform cerințelor prevăzute în legislația specială aplicabilă fiecărei Părți (operator sau persoană împuternicită), conform obiectului de activitate al acesteia, respectând garanțiile impuse de RGPD.
În executarea contractului, Părțile prelucrează următoarele categorii de date: Nume, prenume, funcție, serie și număr C.I., CNP (după caz), date referitoare la starea de sănătate, semnătură, email sau alte date de contact.
Persoanele vizate sunt: reprezentanți legali ai diferitelor societăți; persoanele de contact, alte persoane vizate precum pacienți, aparținători ș.a.
Datele cu caracter personal sunt stocate în vederea prelucrării lor pe durata necesară atingerii scopurilor de prelucrare menționate în contract, sau pe durata impusă de lege, în vederea îndeplinirii unor obligații legale care incumbă Părților (ex. arhivare).
Părțile, având calitatea de operator (Denumirea societății - ex. SC Clinica SRL) și Persoană Împuternicită (Denumirea societății - ex. SC. Doctor SRL; SC Curier SRL; SC Firma IT SRL), conform RGPD, se obligă să ia toate măsurile prevăzute de regulament astfel încât să poată conformitatea cu principiile de prelucrare a datelor cu caracter personal conform art. 5; dar și cu toate prevederile specifice (ex. art. 28, art. 32).
Datele de contact ale Responsabilului cu Protecția Datelor / Persoanei cu atribuții în domeniul protecției datelor sunt:
Pentru Operator: (se indică emailul)
Pentru Persoana Împuternicită: (se indică emailul)
2) Obligații specifice persoanei împuternicite:
Persoană împuternicită de operator, prelucrează datele cu caracter personal numai pe baza unor instrucțiuni documentate din partea operatorului, cu excepția cazului în care această obligație îi revine persoanei împuternicite în temeiul dreptului Uniunii sau al dreptului intern care i se aplică; în acest caz, notifică această obligație juridică operatorului înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de notificare din motive importante legate de interesul public;
Persoana Împuternicită garantează asumarea obligației de confidențialitate și securitate a datelor prin dispunerea de măsuri tehnice și organizatorice, conform prevederilor art. 32, astfel încât să fie stabilite persoanele autorizate să prelucreze datele cu caracter personal, să fie stabilit fluxul și circuitul datelor cu caracter personal exclusiv potrivit prevederilor legale și clauzelor contractuale dintre părți, precum și să existe măsuri de asigurare a securității și integrității datelor cu caracter personal prelucrate în executarea și derularea Contractului. Această obligație va fi transmisă oricărui membru a persoanei împuternicite sau oricărei părți contractate cu acordul Operatorului.
În cazul în care datele cu caracter personal au fost accesate sau obținute de o persoană neautorizata sau are loc orice încălcare a securității datelor cu caracter personal, Persoana Împuternicită va notifica de îndată Operatorul un astfel de incident în maximum 24 ore de la luarea la cunoștință, și se va asigura că va lua orice măsuri considerate necesare pentru atenuarea oricărei pierderi sau daune provocate de un astfel de acces neautorizat. În cadrul notificării trimise către Operator, Persoana Împuternicită va furniza cel puțin următoarele informații:
o descriere a naturii încălcării protecției datelor cu caracter personal, inclusiv, dacă este posibil, numărul aproximativ al persoanelor vizate în cauză;
o descriere a consecințelor probabile ale încălcării securității datelor cu caracter personal;
o descriere a măsurilor adoptate sau propuse pentru remedierea încălcării securității datelor cu caracter personal și, dacă este necesar, a măsurilor pentru atenuarea efectelor negative ale acestora.
Persoana Împuternicită se va asigura că accesul la datele cu caracter personal este strict limitat la angajații, colaboratorii sau alte persoane autorizate ale persoanei împuternicită care au nevoie să cunoască sau să acceseze datele cu caracter personal relevante, după cum este strict necesar în scopul Contractului.
Persoana Împuternicită se va asigura că toate persoanele autorizate să prelucreze datele cu caracter personal ale persoanelor vizate au încheiat acorduri de confidențialitate sau sunt ținute de o obligație legală de confidențialitate.
Persoana Împuternicită, la alegerea operatorului, șterge sau returnează operatorului toate datele cu caracter personal după încetarea furnizării serviciilor legate de prelucrare și elimină copiile existente, cu excepția cazului în care dreptul Uniunii sau dreptul intern impune stocarea datelor cu caracter personal;
Persoana Împuternicită pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute de RGPD, permite desfășurarea auditurilor, inclusiv a inspecțiilor, efectuate de operator sau alt auditor mandatat și contribuie la acestea.
În cazul în care o persoană împuternicită de un operator recrutează o altă persoană împuternicită pentru efectuarea de activități de prelucrare specifice în numele operatorului, aceleași obligații privind protecția datelor prevăzute în contract revin celei de a doua persoane împuternicite, în special furnizarea de garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să îndeplinească cerințele RGPD. În cazul în care această a doua persoană împuternicită nu își respectă obligațiile privind protecția datelor, persoana împuternicită inițială rămâne pe deplin răspunzătoare față de operator în ceea ce privește îndeplinirea obligațiilor acestei a doua persoane împuternicite.
3) Obligații privind respectarea drepturilor persoanei vizate:
Părțile se asigură că informarea persoanei vizate este realizată de către fiecare dintre părți. Informarea se realizează conform procedurilor și politicilor interne adoptate de aceasta.
Părțile vor asigura respectarea drepturilor persoanelor vizate, cu privire la prelucrarea datelor cu caracter personal. Persoana vizată poate să își exercite drepturile legale în mod direct față de oricare dintre Părți, Partea sesizată încunoștințând cealaltă Parte imediat cu privire la orice solicitare primită.
Părțile se vor sprijini în realizarea obligațiilor contractuale dintre cei doi, atunci când aceasta este necesară pentru soluționarea cererilor de exercitare a drepturilor persoanelor vizate, respectarea obligațiilor privind securitatea datelor cu caracter personal, a obligațiilor de notificare în caz de încălcare a securității datelor, realizarea evaluărilor de impact al protecției datelor și consultărilor prealabile.